在個人電腦普及率接近99%的Adobe Flash Player驚傳零時差攻擊，資安專家建議，在Adobe釋出修補程式前，最好暫時關閉Flash外掛。(ZDNet記者馬培治／台北報導)
資安業者阿碼科技與McAfee今(28)日先後發出資安警訊，表示發現利用Adobe Flash Player未公開漏洞進行的一波惡意攻擊，表示有偷取密碼及遠端執行任意程式碼等惡意行為。McAfee在官方部落格上表示，剛發現此一最新零時差攻擊，但仍須進一步調查，阿碼科技CEO黃耀文則表示，早在上週(5/23)起便發現利用Flash進行攻擊的行為，當時定位為利用已知漏洞的舊攻擊手法而未進一步研究，但今天清晨發現是零時差攻擊，便立刻發出資安警訊。
生產Flash Player的Adobe已證實留意到此一狀況，但未提供進一步消息。台灣Adobe行銷經理彭鳳儀表示，總公司目前正和賽門鐵克合作調查可能的漏洞，不過對於修補程式推出的時程等細節則未能提供，但表示一有確切訊息便會發佈。
廣受採用的Adobe Flash並非首次傳出漏洞，在2005及2006年，便分別傳出漏洞，在今(2008)年三月的一場駭客破解大賽中，便有駭客利用Flash漏洞攻破號稱微軟有史以來最安全作業系統的Windows Vista，不過Adobe已修補該漏洞。
值得注意的是，此波利用Flash漏洞進行的零時差攻擊，被認為是本月中以來在華文地區肆虐的大規模SQL Injection攻擊的延續。
黃耀文表示，由於上波SQL Injection攻擊中發現的大量被植入的網址，本身卻無惡意行為，有如小偷進了家門卻不偷東西的怪異舉止，該公司懷疑駭客僅在進行佈局，「如今證實他們打算利用零時差進行真正的攻擊，」他說。
趨勢科技資深技術顧問戴燊則進一步解釋，駭客這次在上一波攻擊中植入的、原來並無惡意行為的網址中，加入了有害的SWF(Flash)檔案，讓使用者瀏覽了即會中標，初步統計已有數千個惡意網頁，網域則多半位在中國。
由於引發攻擊的Flash漏洞尚未被修補，因此專家建議使用者，最好先暫時關閉Flash，以防萬一。
黃耀文表示，初步測試大部份防毒軟體尚無法阻擋此一零時差攻擊，他建議使用者在Adobe發表修補程式前，先在瀏覽器的設定中，將「Shockwave Flash Object」選項停用。
賽門鐵克資深技術顧問莊添發則表示，該公司資安產品已能抵禦這項零時差攻擊，但他仍建議一般用戶對於來路不明的網頁、連結與檔案等，最好不要點擊。
戴燊則表示，趨勢科技的網頁信譽評等服務WRS已可封鎖這些惡意連結，不確定自己使用的資安軟體能否抵禦此攻擊的用戶，除了暫時停用Flash外，他亦建議採用目前已免費釋出的英文版WRS元件進行網頁過濾。
新聞來源: ZDNet
啊勒，那像 youtube 那些影片都是用 flash 的也...
